Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Запускает на исполнение:
- '<SYSTEM32>\net.exe' stop winvnc4
- '<SYSTEM32>\net.exe' stop uvnc_service
- '<SYSTEM32>\net.exe' stop tvnserver
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\IXP000.TMP\smpcvc.exe
- %TEMP%\IXP000.TMP\screenhooks.dll
- %TEMP%\IXP000.TMP\sas.dll
- %TEMP%\IXP000.TMP\smwg.exe
- %TEMP%\IXP000.TMP\SMPCHelper.exe
- %TEMP%\IXP000.TMP\ijl11.dll
- %TEMP%\IXP000.TMP\smhtc
- %TEMP%\IXP000.TMP\smht.exe
- %TEMP%\IXP000.TMP\i_vbtnstr_JPN
- %TEMP%\IXP000.TMP\i_sbtnstr_JPN
- %TEMP%\IXP000.TMP\SMPCSetupSrv.exe
- %TEMP%\IXP000.TMP\i_obtnstr_JPN
- %TEMP%\IXP000.TMP\mm2.res
- %TEMP%\IXP000.TMP\tvnserver.exe
- %TEMP%\IXP000.TMP\smpcvndat
- %TEMP%\IXP000.TMP\smvnview.exe
- %TEMP%\IXP000.TMP\VNCHooks.dll
- %TEMP%\IXP000.TMP\TIPOFDAY.TXT
- %TEMP%\IXP000.TMP\spcplink.exe
- %TEMP%\IXP000.TMP\SMPCSetup.exe
- %TEMP%\IXP000.TMP\settings.ini
- %TEMP%\IXP000.TMP\MSWINSCK.OCX
- %TEMP%\IXP000.TMP\smwinvnc.exe
Сетевая активность:
Подключается к:
- 'localhost':1038
- 'as#####.showmypc.com':443
- 'localhost':1042
- 'ns#.##owmypc.com':80
TCP:
Запросы HTTP GET:
- http://ns#.##owmypc.com/portxxxxxmlxxx-351.php?ve################################################################################################################################################...
UDP:
- DNS ASK as#####.showmypc.com
- DNS ASK ns#.##owmypc.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\IXP000.TMP\SMPCSetup.exe'
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' stop winvnc4
- '<SYSTEM32>\net1.exe' stop uvnc_service
- '<SYSTEM32>\net1.exe' stop tvnserver
